Türk Araştırmacı BMW Açığını Ortaya Çıkardı

Otomotiv sektörünün dev ismi BMW, yanlış yapılandırılmış bir bulut depolama sunucusu nedeniyle hassas şirket bilgilerini internete sızdırdı. Bu bilgiler arasında Azure kapsayıcı erişim bilgileri, özel kova adresleri, gizli anahtarlar ve BMW’nin üretim ve geliştirme veritabanları için oturum açma kimlik bilgileri bulunuyor.

Sızıntıyı keşfeden güvenlik araştırmacısı Can Yoleri, yaptığı açıklamada, BMW’nin Microsoft Azure tarafından barındırılan depolama sunucusunun “yanlışlıkla özel yerine herkese açık olacak şekilde yapılandırıldığını” söyledi. Yoleri, rutin internet taraması sırasında bu sunucuyu fark ettiğini ve hemen BMW’ye bildirdiğini belirtti.

İlginizi Çekebilir: Garanti BBVA’nın E-Para Şirketi Faaliyet İzni Aldı

Türk Güvenlik Araştırmacısı Can Yoleri BMW Açığını Tespit Etti

BMW sözcüsü Chris Overall ise, verilerin açığa çıkmasının bir depolama geliştirme ortamında bulunan bir Microsoft Azure kovasını etkilediğini doğruladı. Overall, “BMW Group bu sorunu 2024’ün başında çözebildi ve durumu ortaklarımızla birlikte izlemeye devam ediyoruz” dedi. Overall, hiçbir müşteri veya kişisel verinin etkilenmediğini de ekledi.

Ancak Yoleri, BMW’nin kovayı gizli hale getirdikten sonra bile, açığa çıkan verilerdeki parola ve kimlik bilgilerini iptal etmediğini veya değiştirmediğini iddia etti. Yoleri, “Kova özel hale getirilmiş olsa bile, bu erişim anahtarlarının değiştirilmesi gerekiyordu. Kovanın artık özel olup olmaması önemli değil” dedi. Yoleri, daha sonra yaşanan bu sorunla ilgili olarak BMW’ye ulaşmaya çalıştığını ancak bir yanıt alamadığını da sözlerine ekledi.

Bu olay, otomotiv sektöründe yaşanan ikinci büyük sızıntı olarak kayıtlara geçti. Geçtiğimiz ay Mercedes-Benz, kaynak koduna “sınırsız erişim” sağlayan özel bir anahtarı çevrimiçi bıraktıktan sonra yanlışlıkla bir dizi dahili veriyi ifşa ettiğini doğruladı. TechCrunch’ın güvenlik sorununu Mercedes’e açıklamasının ardından, otomobil üreticisi “ilgili API belirtecini iptal ettiğini ve genel depoyu derhal kaldırdığını” söyledi.

Bu sızıntılar, otomotiv sektörünün bulut hizmetleri konusunda daha dikkatli olması gerektiğini gösteriyor. Bulut depolama sunucularının yanlış yapılandırılması, siber saldırganlara kapı aralayabilir ve şirketlerin itibarına, güvenliğine ve müşteri memnuniyetine zarar verebilir.